Die sieben meistdiskutierten Fragen zur DSGVO (und die beruhigenden Antworten)

Wenn am 25.05.2018 die Übergangsfrist der Datenschutz-Grundverordnung (DSGVO)   endet, wird der Großteil deutscher Unternehmen durch eine Flut von Abmahnungen ausbluten. Es herrscht Torschlusspanik pur. Diesen Eindruck hat man jedenfalls, wenn man sich durch die vielen teils sehr wilden Beiträge und schrägen Interpretationen wühlt, die momentan zum Thema DSGVO durchs Web geistern. Richtig ist, die DSGVO betrifft alle Unternehmen, die personenbezogene Daten von in der EU ansässigen Personen verarbeiten. Ab Ende Mai droht den Unternehmen, die dieses Thema bisher erfolgreich ignoriert haben, Post vom Abmahnanwalt oder Schlimmeres: die neue Verordnung sieht millionenschwere Strafen vor. Damit das nicht passiert, hat iBusiness mit der Rechtsexpertin Jennifer Rost von Trusted Shops   sieben der meistdiskutierten Theorien besprochen und DSGVO-konform geklärt.

Frage 1: Muss ich bei Gruppenfotos alle tausend Abgebildeten um Erlaubnis fragen?

Hintergrund: Eine jüngst veröffentlichte Mitteilung von Freelens  . Dort wird in Bezug auf die DSGVO die Frage gestellt, ob ein Fotograf künftig, wenn er im Stadion während eines Bundesliga-Spiels in eine Fankurve fotografiert, tausende Personen um Erlaubnis bitten muss. Laut Freelens lautet die Antwort: Ja, er muss. Bisher durfte unter bestimmten Umständen auch ohne schriftliche Einwilligung fotografiert und veröffentlicht werden. Das regelt das Kunsturhebergesetz  . Darin heißt es, dass Bilder ohne die Einwilligung der abgebildeten Personen verbreitet werden dürfen, wenn "die Personen nur als Beiwerk neben einer Landschaft oder sonstigen Örtlichkeit erscheinen". Freelens zufolge beinhalten aber digitale Fotos von Menschen personenbezogene Daten wie Aussehen, Alter, Geschlecht, Ort und Datum der Aufnahme, etc. - und hier greife die DSGVO voll durch. Soll heißen: Keine Aufnahme, von wem auch immer, darf ohne Genehmigung erstellt und schon gar nicht veröffentlicht werden. Freelens konstruiert. dies hätte künftig weitreichende Konsequenzen für den Bildermarkt - und zwar nicht nur für Fotografen und Agenturen, sondern auch für Unternehmen, Vereine, Politiker

iBusiness hat nach diesem Beispiel gefragt. Ganz so schlimm wird es demnach nicht kommen: Jennifer Rost erzählt gegenüber iBusiness, dass das Verhältnis zwischen Kunsturhebergesetz und dem aktuell geltenden Bundesdatenschutzgesetz bereits in der Vergangenheit umstritten war, aber durch Rechtsprechung geklärt wurde. "Diese Rechtsprechung wird man jedoch nicht ohne weiteres auf die Rechtslage unter der DSGVO übertragen können", argumentiert die Datenschutzexpertin. So sieht der Art. 85 Abs. 2 DSGVO   eine Möglichkeit abweichenden nationalen Rechts für journalistische Zwecke oder zu wissenschaftlichen, künstlerischen oder literarischen Zwecken vor. "Nur für diese Zwecke könnte das Kunsturhebergesetz künftig als Ausnahme angesehen werden", erklärt sie. Das heißt für das Freelens-Beispiel, der Fotograf benötigt keine Einwilligung der Personen im Stadion, wenn die Aufnahmen in einem journalistischen, wissenschaftlichen, künstlerischen oder literarischen Rahmen verwendet werden.

Allerdings "für eine Verarbeitung zu anderen Zwecken (z.B. gewerbliche Zwecke) ist zunächst kein Raum mehr für das Kunsturhebergesetz ersichtlich", mahnt Rost. Hier ändert sich die bisher geltende Rechtslage beziehungsweise befindet sich in einer Grauzone. Will also der Fußballverein die Aufnahmen aus der Fankurve etwa für die Gestaltung seiner Homepage verwenden, muss er, um auf Nummer sicher zu gehen, die Erlaubnis der abgebildeten Personen eingeholt haben. "Hier bleibt abzuwarten, wie sich die Behörden und Gerichte zum Verhältnis zwischen DSGVO und Kunsturhebergesetz positionieren werden", erklärt Rost.

Frage 2: Müssen persönliche Informationen aus Akten herausgeschnitten werden?

Wie verhält es sich mit persönlichen Daten, die in Papierform vorliegen? In jedem Unternehmen, egal welcher Größe, lagern Akten, die persönliche Daten von Mitarbeitern, Geschäftspartnern oder Kunden beinhalten, etwa in der Personalstelle oder im Backoffice. Die Redaktion wollte wissen, wie es sich künftig mit persönlichen Daten, die in Papierform vorliegen, in Bezug auf die bevorstehende DSGVO verhält: "Die Datenschutz-Grundverordnung ist im Anwendungsbereich nicht auf digitale Daten beschränkt. Sie gilt daher auch für in Papierform vorliegende personenbezogene Daten", stellt Rost klar. "Die Pflichten sind die gleichen wie bei digitalen Daten". Das heißt explizit, ein Verarbeitungsverzeichnis erstellen, die Bestellung eines Datenschutzbeauftragten, etc..

Laut Gesetzestext müssen Unternehmen mit weniger als 250 Mitarbeitern grundsätzlich kein Verarbeitungsverzeichnis führen (Art. 30 Abs. 5 DSGVO  ). Aber: Wenn ein Unternehmen (oder der Auftragsverarbeiter) personenbezogene Daten verarbeitet - und das nicht mehr nur "gelegentlich" - oder einer der folgenden zwei Punkte zutrifft, dann muss das Unternehmen ein Verarbeitungsverzeichnis erstellen und führen:

• Die Daten zählen zu besonders sensiblen Kategorien, wie Gesundheitsdaten oder strafrechtliche Verurteilungen (Art. 9 Abs. 1 DSGVO   und Art. 10 DSGVO  )
  
• Es besteht ein Risiko für die Rechte und Freiheiten betroffener Personen (z. B. bei Bewertung und Profilerstellung)

Das bedeutet, wenn ein Unternehmen eine Lieferanten- oder Kundendatenbank hat oder Mitarbeiterdaten verwaltet, muss ein Verarbeitungsverzeichnis erstellt werden. Der in der DSGVO benutzte Begriff "gelegentlich" wird im Gesetz nicht weiter ausgeführt. Das legt nahe, dass künftig auch von kleinen Unternehmen wie Handwerksbetrieben oder Arztpraxen ein Verarbeitungsverzeichnis gefordert wird.

Frage 3: Wie lösche ich Daten, die ich nicht löschen darf?

Was ist mit Steuerunterlagen, die aufbewahrt werden müssen, wenn aber persönliche Daten gelöscht werden müssen? Was passiert unter Beachtung der DSGVO beispielsweise mit Rechnungen fürs Finanzamt, die bis zu zehn Jahre archiviert werden müssen, aber persönliche Daten enthalten? Ergo, wie lösche ich Daten, die ich nicht löschen darf? Hier gibt Jennifer Rost Entwarnung: "Für Daten, die aufgrund gesetzlicher Aufbewahrungspflichten nicht gelöscht werden dürfen, gilt, dass diese für die entsprechende Dauer nicht gelöscht werden müssen". Hier greift künftig Art. 17 Abs. 3 DSGVO  . Dort ist geregelt, dass Daten behalten werden dürfen beziehungsweise müssen, wenn:

• gesetzliche Aufbewahrungspflichten bestehen (etwa Steuerunterlagen gemäß Abgabenordnung für die Kleinigkeit von nur sechs bis gar zehn Jahren),
  
• die Daten zur Rechtsverteidigung erforderlich sein können (etwa Vertragsdaten innerhalb von Verjährungsfristen) oder,
  
• Daten, die der Ausübung des Rechts auf freie Meinungsäußerung und Information dienen

Laut Datenschutzexpertin trifft das allerdings nur auf die Daten zu, "die tatsächlich für die Aufbewahrungspflichten relevant sind. Sie müssten stattdessen jedoch für eine weitere Verarbeitung eingeschränkt werden. Das bedeutet, dass sie nicht mehr für andere Zwecke als nur die Erfüllung der Aufbewahrungspflicht verarbeitet werden dürfen. Dies beinhaltet bei Kundenmanagement-Systemen in der Regel zum Beispiel die Trennung von anderen Daten, die noch "aktiv" verarbeitet werden dürfen."

Frage 4: Darf ich Mailing-Listen darüber führen, wer nicht auf eine Mailing-Liste will?

Wie kann man verhindern, dass man jemanden anmailt, wenn man alles löschen muss (Blacklist): Dieser Fall ist klar geregelt. "Die Aufbewahrung zu Zwecken der Erfüllung einer rechtlichen Verpflichtung (Einhaltung einer strafbewehrten Unterlassungserklärung) ist durch die DSGVO gedeckt. Die Aufrechterhaltung einer Blacklist allein zu diesem Zweck ist daher möglich", sagt die Trusted-Shops-Anwältin Rost.

Frage 5: Muss ich mir nach Umsetzung der DSGVO eine Erlaubnis dafür holen, dass das bereits Erlaubte weiterhin erlaubt ist?

Hintergrund: In unseren Mail-Inboxen landen vermehrt Bitten um eine erneute Bestätigung einer bereits erteilten Werbeeinwilligung/Newslettereinwilligung. Ist das wirklich erforderlich? Müssen jetzt alle Einwilligungen neu eingeholt werden trotz bereits vorliegendem Douple-Opt-in?: Nein, müssen sie nicht!

Laut Rost gab es hierzu die Aussage des Düsseldorfer Kreises, dem Gremium der deutschen Datenschutzaufsichtsbehörden: "Bisher rechtswirksame Einwilligungen erfüllen grundsätzlich diese Bedingungen", urteilte der Düsseldorfer Kreis. Demnach gelten alte Einwilligungen, die unter bisheriger Rechtslage wirksam waren, auch unter der DSGVO fort. "Wichtig ist allerdings, dass neue Anforderungen, wie das Kopplungsverbot und die Einwilligungsfähigkeit von Kindern und Jugendlichen unter 16, berücksichtigt wurden. Gilt die Einwilligung fort, ist kein neues Double-Opt-in einzuholen", erklärt Rost. Selbsterklärend ist, dass "wo bisher ein Double-Opt-in eingeholt werden musste, ist dies auch weiterhin zu empfehlen."

Bisher wurden Einwilligungen im Bundesdatenschutzgesetz § 4a   geregelt. Grundsätzlich bedurften Einwilligungen der Schriftform, die elektronische Einwilligung war jedoch ausdrücklich möglich, das ging wiederum aus dem Telemediengesetz § 13 Abs. 2   hervor. Bei rein datenschutzrechtlichen Einwilligungen musste die Einwilligung nicht getrennt von anderen Erklärungen abgegeben werden, das heißt, es durften mehrere Einwilligungen gekoppelt werden. Das ist nun anders, es wurde ein Kopplungsverbot eingeführt, Einwilligungen sind nun einzeln einzuholen. Das ist der wichtigste Unterschied zur alten Rechtslage. In Erwägungsgrund 171 der DSGVO   ist zu lesen:"(...)Beruhen die Verarbeitungen auf einer Einwilligung (...) [nach alter Rechtslage], so ist es nicht erforderlich, dass die betroffene Person erneut ihre Einwilligung dazu erteilt, wenn die Art der bereits erteilten Einwilligung den Bedingungen dieser Verordnung entspricht", erklärt Wirtschaftsjurist Frieder Schelle im Trusted-Shops-Blog.

Frage 6: Darf ich noch meinem Chef mailen?

Hindergrund: Was ist mit interner Unternehmenskommunikation beispielsweise via Messenger, E-Mail oder Intranet? Wie muss das DSGVO-konform geregelt werden? Der Fachanwältin zufolge sind Mitarbeiterdaten auch personenbezogene Daten: "Für interne Unternehmenskommunikation gelten daher grundsätzlich die gleichen Grundsätze wie für Kommunikation mit Dritten." Denn bei der unternehmensinternen Kommunikation werden auf vielfältige Art personenbezogene Daten erhoben, beispielsweise über Intranet, Social Media, Apps und Cloud-Dienste. Zahlreiche Tools und IT-Systeme stoßen auf IP-Adressen, es wird Dokumentenzugriff gewährt, Aufenthaltsorte und Nutzungszeiten der Mitarbeiter sind ersichtlich. Es ist also unabdingbar, die eigenen Tools und Softwarelösungen für die Mitarbeiterkommunikation hinsichtlich ihrer Konformität mit den neuen Datenschutzrichtlinien zu überprüfen.

"Teilweise ergeben sich jedoch andere Rechtsgrundlagen als gegenüber Dritten, beispielsweise die Verarbeitung zur Abwicklung des bestehenden Arbeitsvertrags statt der Notwendigkeit einer Einwilligung. Die DSGVO ist im Grundsatz jedoch auch innerhalb des Unternehmens anwendbar", sagt Rost.

Frage 7: Wer sticht beim Datenschutz-Skat? EU das Landesrecht oder das Landesrecht die EU?

Hintergrund: Künftig gibt es das EU-Datenschutzrecht und die auf nationaler Ebene geregelten Datenschutzrecht-Umsetzungen. An welche muss man sich halten? Kann es durch nationale Umsetzungen zu Wettbewerbsvorteilen kommen? "Grundsätzlich hat das EU-Datenschutzrecht immer Vorrang vor nationalem Recht". Das bedeutet, dass die DSGVO vor allen nationalen Regelungen gilt, die datenschutzrechtliche Bedingungen aufstellen. "An einigen Stellen hat der EU-Gesetzgeber in der DSGVO bewusst die Möglichkeit geschaffen, dass die EU-Mitgliedstaaten für einige Sachverhalte individuelle Regelungen treffen dürfen", unterstreicht Jennifer Rost. Allerdings seien die Öffnungsklauseln, die individuelle Regelungen ermöglichen, nicht so weit, dass völlig unterschiedliche Rechtsordnungen entstehen können, so wie es in der Vergangenheit bei der Datenschutzrichtlinie der Fall war. "Die österreichische Handhabung, die in den letzten Tagen in den Medien bekannt wurde, fällt in weiten Teilen weniger unter die Öffnungsklauseln der DSGVO als unter eine freie Entscheidung des Mitgliedstaats, in bestimmter Weise mit der DSGVO umzugehen", argumentiert die Expertin. Und schließt: "Ob dies vor den Europäischen Organen (EuGH, Kommission) Bestand haben wird, bleibt abzuwarten".

Fünf Last-Minute-Tipps zur DSGVO

Zuallererst: keine Panik. Die DSGVO erlaubt auch weiterhin jede Verarbeitung von Daten. Die EU-Verordnung regelt im Wesentlichen in der Europäischen Union die Rechte der Verbraucher, das heißt, der von der Datenverarbeitung Betroffenen, neu. Zudem erschließt die DSGVO nicht nur Neuland: das bisher gültige Bundesdatenschutzgesetz (BDSG) hat die meisten Punkte bereits abgedeckt. Zu beachten sind aber vor allem zwei Neuerungen: das Recht auf Widerspruch bei automatisierter Fallentscheidung (Artikel 22) und die Datenportabilität (Artikel 20).

Es ist auch nicht zu erwarten, dass allen Unternehmen kurzfristig heftige Strafen drohen. Vieles an der neuen Richtlinie muss sich erst im Einsatz bewähren. Experten erwarten, dass es zuerst eine begrenzte Anzahl prominenter Unternehmen treffen wird, an denen sich Anwälte, Datenschutzexperten und schließlich Gerichte abarbeiten werden.

Zunächst kein Grund für schlaflose Nächte also, aber spätestens jetzt ist es an der Zeit, sofort zu handeln. Christian Golz , Senior Consultant & Datenschutzbeauftragter beim IT-Dienstleister Trivadis  , hat fünf Last-Minute-Tipps zur EU-DSGVO zusammengestellt, die als Erste-Hilfe-Maßnahmen umgesetzt werden, bis die Unternehmensprozesse ordentlich angepasst oder umgestellt sind:

• Schaffen Sie Awareness in der Geschäftsführung und beginnen Sie den Wandel in Ihrer Unternehmensstruktur:
  Die Auflagen der DSGVO kann man nicht nebenher erfüllen. Es müssen das Team und die Mittel bereitgestellt werden, um einen Change-Management-Prozess durchzuführen. Machen Sie der Geschäftsführung die Tragweite der Aufgabe, ihre Bedeutung und die möglichen Folgen klar. Zeigen Sie konkret auf, wo aktuell Handeln Not tut. Verdeutlichen Sie, dass die DSGVO nicht nur ein einzelnes Projekt erfordert, sondern einen Wandel in den Unternehmensprozessen. In Zukunft muss der Datenschutz bei jedem Prozess mit bedacht werden. Die Compliance liegt damit in der Verantwortung von Business Owner und Process Owner, nicht mehr in der eines Project Owner DSGVO. Ebenso ist es nötig, bei allen Mitarbeitern das Bewusstsein für die Vorgaben und Hintergründe der Verordnung zu schaffen. An entsprechenden Schulungen wird kein Weg dran vorbeiführen, machen Sie auch dies der Geschäftsführung und der Personalabteilung klar.
• Klären Sie, ob Sie einen Datenschutzbeauftragten (DSB) brauchen:
  Nötig wird dieser nach BDSG neu, sobald mehr als zehn Personen regelmäßig mit personenrelevanten Daten arbeiten. Eine regelmäßige personenrelevante Datenverarbeitung stellt dabei schon die tägliche Nutzung eines EMail-Programmes wie Outlook dar. Näheres zur Rolle des DSB findet sich auf der Seite der Gesellschaft für Datenschutz und Datensicherheit e.V. Auch die Nutzung eines DSB "as-a-Service" ist zulässig, enthebt Sie bzw. Ihr Unternehmen jedoch nicht der Verantwortung.
  
• Richten Sie ein Datenschutz-Management-System ein:
  Dazu können Sie spezielle Tools nutzen oder eigene Prozesse mittels der üblichen Office-Programme aufsetzen. Anbieter wie Neupart, Crisam (modulare Lösung), OneTrust (webbasiert) oder Otris (deutscher Anbieter) verfolgen verschiedene Ansätze. Beim Einsatz eines Datenschutz-Management-Systems unterstützt es Sie bei der Erfassung ihrer Business-Prozesse und sonstigen Verarbeitungstätigkeiten. Außerdem bestimmen Sie damit, welche personenbezogenen Daten Sie in diesen verarbeiten, welche Informationsobjekte vorhanden sind, welche IT-Systeme genutzt werden, und wohin die personenbezogenen Daten übertragen werden, so z.B. zu einem Auftragsdatenverarbeiter außerhalb der EU. Das Verzeichnis der Verarbeitungstätigkeiten bringt die nötige Transparenz, um festzustellen, welche Verarbeitungstätigkeiten anzupassen sind, um gesetzeskonform gegenüber der Datenschutzgrundverordnung zu sein. Im Übrigen stellt das Fehlen des Verzeichnisses der Verarbeitungstätigkeiten lediglich einen kleinen Verstoß dar, welcher mit bis zu zwei Prozent des weltweiten Vorjahresumsatzes der Konzerngruppe oder mit bis zu zehn Millionen Euro geahndet wird. Vorlage für ein Verzeichnis der Verarbeitungstätigkeiten bietet die GDD e.V. oder für kleine Unternehmen (Handwerksbetriebe, Vereine, Arztpraxen etc.) das Bayerisches Landesamt für Datenschutzaufsicht.
  
  
• Fokussieren Sie auf die Verarbeitungstätigkeiten mit Außenwirkung:
  Dies betrifft alle Stellen mit Kundenkontakt, wie den Newsletter, Formulare oder Kommentarfelder, Kontakt mir Bewerbern, Interessenten usw. Haben Sie aber auch in jedem Fall ein Augenmerk auf Verarbeitungstätigkeiten, welche besondere Kategorien von personenbezogenen Daten verarbeiten, wie es gerade im HR-Bereich vorkommt. Unter besondere Kategorien von personenbezogenen Daten fallen unter anderem Daten wie Zugehörigkeit zu Religionsgruppen, mentale oder körperliche Beeinträchtigungen etc. (Artikel 9 DSGVO). Artikel 13 und 14 der DSGVO legen die Informationspflichten gegenüber den Betroffenen fest und damit auch die Aufklärung gegenüber dem Betroffenen, was mit seinen personenbezogenen Daten passiert und welche Rechte er gegenüber Ihrem Unternehmen hat. Im Übrigen, bei Nichteinhaltung dieser Informationspflichten handelt es sich um einen großen Verstoß, welcher mit bis zu vier Prozent des weltweiten Vorjahresumsatzes der Konzerngruppe oder mit bis zu 20 Millionen Euro geahndet wird. Mit dieser Kenntnis der Daten und ihrer Verwendung prüfen Sie dann ihre Verarbeitungstätigkeiten auf die Wahrung der Betroffenenrechte. Wenn Sie Ihre Verarbeitungstätigkeiten bereits vorab dokumentiert haben, sparen Sie hier Zeit. Ihre Website ist von diesem Prozess nur zu einem bestimmten Maß betroffen: hier greift allerdings ab etwa 2019 die neue ePrivacy-Verordnung, daher sollten Sie die Verordnung gleich mit implementieren. Die Aktualität Ihrer Datenschutzerklärung sollten Sie jedoch sicherstellen.
  
  
• Sichern Sie die Verarbeitungstätigkeiten, bei denen die Verarbeitung von Daten durch Dritte geschieht:
  Dies könnte etwa bei Anbietern von CRM-Services der Fall sein. Vorlagen für die "Auftragsdatenverarbeitung" bietet einmal mehr die Gesellschaft für Datenschutz und Datensicherheit e.V.

Zu guter Letzt noch ein kleines Trostpflaster für alle, die sich mit der DSGVO bisher nicht beschäftigt haben, und denen jetzt der Abmahnanwalt droht. Der 25. Mai 2018 ist ein Freitag - und vor Montag, dem 28., geht kein Schreiben raus. Sie haben also drei Tage gewonnen, um die fünf Last-Minute-Tipps zur DSGVO umzusetzen.